TPM absichern: Warum der Sicherheits-Chip in KMU-PCs kein Allheilmittel ist

Ein aktueller Bericht zu Schwachstellen im Security-Koprozessor vieler CPUs erinnert daran: Das Trusted Platform Module (TPM) ist die wichtigste Vertrauenskette moderner PCs – und ausgerechnet dieser Baustein ist nicht unangreifbar. Für KMU, die sich beim Schutz ihrer Notebooks und Server auf BitLocker, Windows 11 und Secure Boot verlassen, ist das eine wichtige Erinnerung: TPM ist ein starkes Werkzeug, aber kein Ersatz für eine durchdachte Sicherheitsstrategie.

Was ist ein TPM überhaupt?

Das Trusted Platform Module ist ein kleiner, meist fest verlöteter Chip auf der Hauptplatine (oder als Firmware-TPM in der CPU integriert), der kryptografische Schlüssel generiert, sicher speichert und Messwerte des Boot-Vorgangs protokolliert. Es ist der “Tresor im Tresor” eines Rechners: Selbst wenn jemand physischen Zugriff auf die Festplatte hat, bleiben die dort gespeicherten Schlüssel ohne das TPM unbrauchbar.

In Unternehmen kommt TPM vor allem in drei Bereichen zum Einsatz:

• BitLocker-Festplattenverschlüsselung unter Windows – der Schlüssel wird im TPM statt im Betriebssystem gespeichert
• Windows 11, das TPM 2.0 als Mindestvoraussetzung verlangt
• Secure Boot, das beim Systemstart prüft, ob Firmware und Bootloader manipuliert wurden

Für ostdeutsche KMU, die zunehmend auf Windows-11-Flotten und verschlüsselte Notebooks umstellen, ist TPM damit längst Alltag – auch wenn kaum jemand im Unternehmen weiß, dass der Chip überhaupt aktiv ist.

Warum TPM kein Freifahrtschein ist

TPM-Implementierungen sind Software und Hardware zugleich – und beides kann fehlerhaft sein. Zwei Beispiele aus der jüngeren Vergangenheit zeigen das deutlich:

TPM-Fail (2019)

Forscher zeigten, dass sich über Timing-Seitenkanalangriffe private Schlüssel aus TPM-Chips mehrerer Hersteller extrahieren ließen – obwohl die Chips selbst als zertifiziert und sicher galten. Der Angriff funktionierte, weil die kryptografischen Operationen des TPM unterschiedlich lange dauerten, je nachdem, welchen Schlüssel sie verarbeiteten.

CVE-2023-1017 und CVE-2023-1018

In der TCG-Referenzbibliothek für TPM 2.0 wurden Speicherfehler entdeckt, die unter bestimmten Bedingungen zum Überschreiben von Speicherbereichen im TPM führen konnten. Betroffen waren nicht nur physische Chips, sondern auch die weit verbreiteten Firmware-TPM-Implementierungen (fTPM) in modernen CPUs.

Die Lehre daraus: Ein TPM ist ein Sicherheitsbaustein, kein Sicherheitsgarant. Es reduziert Risiken erheblich, muss aber wie jede andere Sicherheitskomponente gepflegt, aktualisiert und richtig konfiguriert werden.

Häufige Fehler bei TPM-Nutzung in KMU

In der Praxis sehen wir bei IT-Sicherheitsaudits regelmäßig dieselben Schwachstellen:

BitLocker im TPM-only-Modus. Ist der TPM-Schlüssel ohne zusätzliche PIN konfiguriert, entsperrt sich die Festplatte automatisch beim Boot – ein gestohlenes, eingeschaltetes Notebook liefert dem Dieb dann faktisch entschlüsselte Daten.

Veraltete Mainboard- und CPU-Firmware. TPM-Sicherheitslücken werden über BIOS/UEFI-Updates geschlossen – ein Bereich, der in vielen KMU-Update-Prozessen komplett fehlt, weil er außerhalb von Windows Update liegt.

Unklarheit, ob überhaupt fTPM oder dTPM verwendet wird. Firmware-TPM (in der CPU) und diskretes TPM (separater Chip) haben unterschiedliche Angriffsflächen. Kaum ein Unternehmen dokumentiert, welche Variante auf welchen Geräten läuft.

Kein Recovery-Key-Management. Bei TPM-Fehlfunktionen oder Firmware-Updates fordert BitLocker den Wiederherstellungsschlüssel an. Ist dieser nicht zentral (z. B. in Active Directory oder Intune) hinterlegt, drohen Datenverlust und Support-Chaos.

Praxis: TPM in Ihrem Unternehmen richtig absichern

1. BitLocker mit TPM+PIN statt TPM-only konfigurieren. Über Gruppenrichtlinien lässt sich erzwingen, dass zusätzlich zum TPM eine PIN beim Systemstart eingegeben werden muss.
2. BIOS/UEFI- und Firmware-Updates in den Patch-Prozess aufnehmen. Diese kommen meist vom Gerätehersteller (Dell, HP, Lenovo) und werden häufig übersehen, weil sie nicht über Windows Update laufen.
3. Secure Boot aktiv lassen und regelmäßig prüfen. Es verhindert, dass manipulierte Bootloader oder Rootkits vor dem Betriebssystem starten.
4. BitLocker-Recovery-Keys zentral sichern, etwa über Active Directory, Microsoft Intune oder eine vergleichbare Lösung – nie lokal auf dem Gerät selbst.
5. TPM-Bestand dokumentieren. Welche Geräte nutzen fTPM, welche ein diskretes Modul, welche Firmware-Version läuft – das gehört ins IT-Asset-Management.
6. Physischen Zugriff auf Geräte einschränken. Viele TPM-Angriffe setzen lokalen oder physischen Zugriff voraus – ein Grund mehr, Notebooks außerhalb des Büros konsequent zu sperren und zu verschlüsseln.

Für Server-Umgebungen gilt zusätzlich: TPM-gestützte Festplattenverschlüsselung sollte Teil eines umfassenden Konzepts sein, das auch Zugriffsschutz auf BIOS-Ebene und ein sauberes Patch-Management für Firmware einschließt.

Fazit

TPM ist ein sinnvoller und inzwischen unverzichtbarer Baustein der IT-Sicherheit – Windows 11 setzt ihn voraus, und BitLocker profitiert massiv davon. Aber ein TPM-Chip ersetzt keine Sicherheitsstrategie. Wer sich blind auf den Chip verlässt, ohne PIN-Schutz, Firmware-Updates und zentrales Schlüsselmanagement, verschenkt einen Großteil des eigentlichen Schutzes. Gerade für KMU in Sachsen, die oft mit begrenzten IT-Ressourcen arbeiten, lohnt sich ein einmaliger, strukturierter Blick auf die eigene TPM- und Verschlüsselungskonfiguration.

Sie möchten wissen, ob Ihre Notebooks und Server in Dresden und Umgebung wirklich sauber abgesichert sind – inklusive TPM-Konfiguration, BitLocker-Setup und Firmware-Patch-Status? Rexoma unterstützt KMU in Dresden und ganz Sachsen bei IT-Sicherheitsaudits, die genau solche Lücken aufdecken, bevor sie zum Problem werden.

Häufige Fragen zu TPM in Unternehmen

Brauche ich zwingend ein TPM 2.0, um Windows 11 zu nutzen? Ja, Microsoft setzt TPM 2.0 als Mindestanforderung für Windows 11 voraus. Es kann als diskreter Chip (dTPM) oder als Firmware-Lösung direkt in der CPU (fTPM) vorliegen.

Ist BitLocker ohne TPM überhaupt sinnvoll nutzbar? Ja, BitLocker lässt sich auch mit einem USB-Startschlüssel statt TPM konfigurieren, ist dann aber im Arbeitsalltag deutlich umständlicher. Für die meisten KMU ist TPM+PIN der praktikabelste sichere Kompromiss.

Wie erkenne ich, ob mein TPM aktuell und sicher ist? Unter Windows zeigt “tpm.msc” Version und Status des Moduls an. Ob Firmware-Updates für Ihr konkretes Gerät verfügbar sind, erfahren Sie über die Support-Seite des Herstellers.

Schützt ein TPM auch vor Ransomware? Nur indirekt. TPM schützt vor allem die Vertraulichkeit von Daten bei Diebstahl oder unbefugtem physischem Zugriff sowie die Integrität des Boot-Vorgangs. Gegen Ransomware, die im laufenden Betrieb agiert, braucht es zusätzliche Maßnahmen wie Endpoint Detection and Response und aktuelle Backups.

Was passiert, wenn ein TPM-Chip defekt ist oder ausgetauscht werden muss? BitLocker-verschlüsselte Laufwerke lassen sich dann nur noch mit dem Recovery-Key entsperren. Deshalb ist zentrales Recovery-Key-Management für Unternehmen unverzichtbar – ohne dieses drohen Datenverlust und ungeplante Ausfallzeiten.